Cisco ISE : Création d'utilisateurs, ajout de serveurs LDAP, intégration avec AD. Partie 2

Bienvenue dans le deuxième article d'une série consacrée à Cisco ISE. Dans le premier, article  nous avons abordé les avantages et les différences des solutions de contrôle d'accès réseau (NAC) par rapport aux AAA standard, l'unicité de Cisco ISE, son architecture et le processus d'installation du produit.

Dans cet article, nous approfondirons la création de comptes, l'ajout de serveurs LDAP et l'intégration avec Microsoft Active Directory, ainsi que les subtilités liées à l'utilisation de PassiveID. Avant de commencer, je vous recommande vivement de consulter la première partie.

1. Un peu de terminologie

Identité de l'utilisateur — un compte utilisateur qui contient des informations sur l'utilisateur et constitue ses identifiants pour accéder au réseau. Les paramètres suivants sont généralement indiqués dans l'identité de l'utilisateur : nom d'utilisateur, adresse e-mail, mot de passe, description du compte, groupe d'utilisateurs et rôle.

Groupes d'utilisateurs — les groupes d'utilisateurs sont un ensemble d'employés qui partagent un ensemble commun de privilèges leur permettant d'accéder à un certain ensemble de services et de fonctionnalités de Cisco ISE.

Groupes d'identité de l'utilisateur — des groupes d'utilisateurs prédéfinis qui contiennent déjà des informations et des rôles spécifiques. Les groupes d'identité des utilisateurs suivants existent par défaut, et vous pouvez y ajouter des utilisateurs et des groupes d'utilisateurs : Employé, SponsorAllAccount, SponsorGroupAccounts, SponsorOwnAccounts (comptes sponsor pour la gestion du portail invité), Invité, Invité Activé.

Rôle de l'utilisateur — le rôle de l'utilisateur est un ensemble de permissions qui définissent les tâches que l'utilisateur peut effectuer et aux services auxquels il peut accéder. Souvent, le rôle d'un utilisateur est lié à un groupe d'utilisateurs.

De plus, chaque utilisateur et chaque groupe d'utilisateurs a des attributs supplémentaires qui permettent de distinguer et de définir plus précisément cet utilisateur (ou ce groupe d'utilisateurs). Plus d'informations dans guide.

2. Création d'utilisateurs locaux

1) Dans Cisco ISE, il est possible de créer des utilisateurs locaux et de les utiliser dans la politique d'accès ou même de leur attribuer un rôle d'administration du produit. Sélectionnez Administration → Gestion de l'identité → Identités → Utilisateurs → Ajouter.

Figure 1. Ajout d'un utilisateur local dans Cisco ISE

2) Dans la fenêtre qui s'ouvre, créez un utilisateur local, assignez-lui un mot de passe et d'autres paramètres compréhensibles.

Figure 2. Création d'un utilisateur local dans Cisco ISE

3) Les utilisateurs peuvent également être importés. Dans cet onglet Administration → Gestion des identités → Identités → Utilisateurs sélectionnez l'option Importer et téléchargez un fichier csv ou txt contenant les utilisateurs. Pour obtenir un modèle, sélectionnez Générer un modèle, puis remplissez-le avec les informations sur les utilisateurs au format approprié.

Figure 3. Importation des utilisateurs dans Cisco ISE

3. Ajout de serveurs LDAP

Rappelons que LDAP est un protocole appliqué populaire permettant d'accéder à des informations, d'effectuer des authentifications, de rechercher des comptes dans les annuaires des serveurs LDAP, fonctionnant sur le port 389 ou 636 (SSL). Les exemples notables de serveurs LDAP incluent Active Directory, Sun Directory, Novell eDirectory et OpenLDAP. Chaque enregistrement dans un annuaire LDAP est défini par un DN (Nom Distingué) et pour établir une politique d'accès, il est nécessaire d'extraire les comptes, les groupes d'utilisateurs et les attributs.

Dans Cisco ISE, il est possible de configurer l'accès à plusieurs serveurs LDAP, réalisant ainsi la redondance. Si le serveur LDAP principal est indisponible, ISE tentera de se connecter au serveur secondaire, et ainsi de suite. De plus, si deux PAN sont présents, on peut définir un LDAP comme prioritaire pour le PAN principal et un autre pour le PAN secondaire.

ISE prend en charge 2 types de recherche lors de l'utilisation de serveurs LDAP : Recherche d'Utilisateur et Recherche par Adresse MAC. La Recherche d'Utilisateur permet de rechercher un utilisateur dans la base de données LDAP et d'obtenir les informations suivantes sans authentification : utilisateurs et leurs attributs, groupes d'utilisateurs. La Recherche par Adresse MAC permet également, sans authentification, de rechercher par adresse MAC dans les annuaires LDAP et d'obtenir des informations sur le dispositif, le groupe de dispositifs par adresses MAC et d'autres attributs spécifiques.

À titre d'exemple d'intégration, ajoutons Active Directory dans Cisco ISE en tant que serveur LDAP.

1) Accédez à l'onglet Administration → Gestion des identités → Sources d'identité externes → LDAP → Ajouter. 

Figure 4. Ajout d'un serveur LDAP

2) Dans le panneau Général indiquez le nom du serveur LDAP et le schéma (dans notre cas, Active Directory). 

Figure 5. Ajout d'un serveur LDAP avec le schéma Active Directory

3) Ensuite, accédez à Connexion l'onglet et indiquez Nom d'hôte / Adresse IP du serveur AD, le port (389 - LDAP, 636 - SSL LDAP), les informations d'identification de l'administrateur de domaine (Admin DN - DN complet), les autres paramètres peuvent rester par défaut.

Remarque: utilisez les données du domaine de l'administrateur pour éviter d'éventuels problèmes.

Figure 6. LDAP Server Data Entry

4) Dans l'onglet Organisation du répertoire il est nécessaire d'indiquer la zone des annuaires via DN d'où extraire les utilisateurs et les groupes d'utilisateurs.

Figure 7. Détermination des annuaires d'où récupérer les groupes d'utilisateurs

5) Accédez à la fenêtre Groups → Add → Select Groups From Directory pour sélectionner le transfert des groupes depuis le serveur LDAP.

Figure 8. Ajout de groupes depuis le serveur LDAP

6) Dans la fenêtre qui s'ouvre, cliquez sur Retrieve Groups. Si les groupes ont été récupérés, cela signifie que les étapes préliminaires ont réussi. Sinon, essayez un autre administrateur et vérifiez la connectivité de l'ISE avec le serveur LDAP via le protocole LDAP.

Figure 9. Liste des groupes d'utilisateurs récupérés

7) Dans l'onglet Attributes vous pouvez éventuellement indiquer quels attributs du serveur LDAP doivent être récupérés, et dans la fenêtre Advanced Settings activez l'option Enable Password Change, qui obligera les utilisateurs à changer leur mot de passe s'il a expiré ou a été réinitialisé. Dans tous les cas, cliquez sur Submit pour continuer.

8) Le serveur LDAP est désormais présent dans l'onglet correspondant et peut être utilisé pour établir des politiques d'accès.

Figure 10. Liste des serveurs LDAP ajoutés

4. Intégration avec Active Directory

1) En ajoutant le serveur Microsoft Active Directory en tant que serveur LDAP, nous avons obtenu des utilisateurs, des groupes d'utilisateurs, mais pas de journaux. Je vous propose ensuite de configurer une intégration complète de AD avec Cisco ISE. Accédez à l'onglet Administration → Identity Management → External Identity Sources → Active Directory → Add. 

Remarque : pour réussir l'intégration avec AD, l'ISE doit se trouver dans le domaine et avoir une connectivité totale avec les serveurs DNS, NTP et AD, sinon cela ne fonctionnera pas.

Figure 11. Ajout du serveur Active Directory

2) Dans la fenêtre qui s'ouvre, saisissez les informations d'identification de l'administrateur de domaine et cochez la case Store Credentials. De plus, vous pouvez indiquer l'OU (Unité d'organisation), si l'ISE se trouve dans un OU spécifique. Vous devrez ensuite sélectionner les nœuds Cisco ISE que vous souhaitez connecter au domaine.

Figure 12. Saisie des informations d'identification

3) Avant d'ajouter des contrôleurs de domaine, assurez-vous que sur le PSN, dans l'onglet Administration → System → Deployment l'option Passive Identity Service. PassiveID est activée—option qui permet de traduire l'utilisateur en IP et vice versa. Le PassiveID obtient des informations d'AD via WMI, des agents AD spéciaux ou un port SPAN sur le commutateur (ce n'est pas la meilleure option).

Remarque : Pour vérifier l'état de Passive ID, saisissez dans la console ISE show application status ise | include PassiveID.

Figure 13. Activation of the PassiveID option

4) Go to the tab Administration → Identity Management → External Identity Sources → Active Directory → PassiveID and select the option Add DCs. Then select the required domain controllers with checkboxes and click OK.

Figure 14. Adding domain controllers

5) Select the added DC and click the button Edit. Specify FQDN of your DC, the domain username and password, as well as the connection option WMI ou Agent. Select WMI and click OK.

Figure 15. Entering domain controller data

6) If WMI is not the preferred method of communication with Active Directory, you can use ISE agents. The agent method implies that you can install special agents on servers that will log event logins. There are 2 installation options: automatic and manual. For automatic agent installation in the same tab PassiveID select the item Add Agent → Deploy New Agent (the DC must have Internet access). Then fill in the required fields (agent name, server FQDN, domain administrator login/password) and click OK.

Figure 16. Automatic installation of the ISE agent

7) For manual installation of the Cisco ISE agent, select the item Register Existing Agent. By the way, the agent can be downloaded in the tab Work Centers → PassiveID → Providers → Agents → Download Agent.

Figure 17. Downloading the ISE agent

Important : PassiveID does not read events logoff! The parameter responsible for the timeout is called user session aging time and equals 24 hours by default. Therefore, you should either log off yourself at the end of the workday or write some script that will automatically log off all logged-in users. 

For obtaining information logoff Endpoint probes are used — endpoint probes. There are several types of Endpoint probes in Cisco ISE: RADIUS, SNMP Trap, SNMP Query, DHCP, DNS, HTTP, Netflow, NMAP Scan. RADIUS probe provides information on user permission changes via CoA (Change of Authorization) packets (this requires an embedded 802.1X), while those configured on access switches via SNMP will provide information on connected and disconnected devices.

Voici un exemple pertinent pour la configuration Cisco ISE + AD sans 802.1X et RADIUS : l'utilisateur est connecté à une machine Windows sans se déconnecter, puis se connecte depuis un autre PC via WiFi. Dans ce cas, la session sur le premier PC restera active tant qu'il n'y a pas de délai d'expiration ou si une déconnexion forcée ne se produit. Si les appareils ont des droits différents, le dernier appareil connecté appliquera ses droits.

8) En supplément dans l'onglet Administration → Gestion des identités → Sources d'identité externes → Active Directory → Groupes → Ajouter → Sélectionner des groupes dans l'annuaire vous pouvez sélectionner les groupes depuis AD que vous souhaitez importer dans ISE (dans notre cas, cela a été fait au point 3 « Ajout d'un serveur LDAP »). Sélectionnez l'option Récupérer les groupes → OK. 

Figure 18 a). Importation des groupes d'utilisateurs depuis Active Directory

9) Dans l'onglet Centres de travail → PassiveID → Vue d'ensemble → Tableau de bord vous pouvez observer le nombre de sessions actives, le nombre de sources de données, d'agents et d'autres informations.

Figure 19. Surveillance de l'activité des utilisateurs de domaine

10) Dans l'onglet Sessions en direct les sessions actuelles sont affichées. L'intégration avec AD est configurée.

Figure 20. Sessions actives des utilisateurs de domaine

5. Conclusion

Cet article a abordé la création d'utilisateurs locaux dans Cisco ISE, l'ajout de serveurs LDAP et l'intégration avec Microsoft Active Directory. Dans le prochain article, l'accès invité sera traité sous forme de guide complet.

Si vous avez des questions sur ce sujet ou si vous avez besoin d'aide pour tester le produit, n'hésitez pas à nous contacter le lien.

Suivez nos mises à jour sur nos chaînes (Telegram, Facebook, VK, Blog de solutions TS, Yandex.Zen).

Source : habr.com